Ønsket om at teste uden at sige det til driftsleverandøren kan komme af et rimeligt spørgsmål: opdager leverandøren overhovedet noget? Men en skjult test kan mangle den tilladelse, der skal til, kan udløse alarmer og indgreb, ingen har forberedt, og kan skade samarbejdet. Svaret hviler på, hvem der råder over systemerne, og på at spørgsmålet om opdagelse kan besvares på en kontrolleret måde.
Kort sagt: en almindelig penetrationstest bør ikke skjules for den leverandør, der driver systemerne. Hvis I vil vide, om leverandøren reagerer, er det et særskilt spørgsmål, der kræver sin egen aftale og en lille kreds, der kender til den.
Hvorfor ønsket opstår
Der er forståelige grunde til at overveje en skjult test. Virksomheden betaler for overvågning og vil vide, om den virker. Den har måske haft en oplevelse, hvor leverandøren ikke reagerede. Eller den frygter, at leverandøren vil rydde op i forvejen, hvis den får besked, så testen ikke viser det reelle billede.
Bekymringerne er reelle, men de løses ikke ved at holde leverandøren uden for. De løses ved at skille to spørgsmål ad: hvilke svagheder har systemerne, og hvordan reagerer driften, når noget usædvanligt sker? Det første besvares bedst i samarbejde. Det andet kan undersøges med en anden opgave.
Frygten for, at leverandøren rydder op i forvejen, kan også håndteres åbent. Aftal, at der ikke må laves ændringer i testperioden uden besked, og bed om en oversigt over de ændringer, der alligevel bliver lavet. Så kan rapporten læses med kendskab til, hvordan systemerne så ud.
Leverandøren kan være en del af tilladelsen
En test kræver tilladelse fra den, der råder over systemerne. Når en driftsleverandør eller et hostingfirma driver servere, net eller platforme, kan virksomhedens egen accept være utilstrækkelig. Kontrakten med leverandøren kan stille betingelser for sikkerhedstest, og andre kunders systemer kan dele den samme infrastruktur.
Efter straffelovens § 263, stk. 1 er det afgørende, om adgangen til en andens datasystem eller data er uberettiget. Hvis leverandøren råder over en del af det, testen berører, kan en test uden leverandørens viden rejse spørgsmål om tilladelsen. Hvem der kan godkende hvad, er beskrevet i → Er en penetrationstest lovlig?. Teksten her er ikke juridisk rådgivning, og konkrete tvivlsspørgsmål bør vurderes af en advokat.
Se også i driftsaftalen, før testen planlægges. Den kan indeholde krav om varsel, om navngivne testere eller om bestemte tidsrum, og den kan beskrive, hvad leverandøren må opkræve for at deltage. Aftalen kan også sige noget om, hvad der sker, hvis en test fra virksomhedens side påvirker leverandørens drift. De vilkår er lettere at overholde, når de er kendt på forhånd.
Hvis leverandøren ikke vil godkende, er det en oplysning i sig selv. Så må den berørte del holdes ude eller afklares, før den testes. → Leverandørens godkendelse mangler
Hvad der kan gå galt i driften
Selv hvor tilladelsen ikke er et problem, kan en skjult test skabe uro. Leverandørens overvågning kan opfatte testen som et rigtigt angreb. Det kan føre til, at testerens adgang bliver blokeret, at systemer bliver lukket ned af forsigtighed, eller at leverandøren sætter et beredskab i gang, som koster tid og penge.
Hvis testen påvirker driften, skal nogen kunne stoppe den hurtigt. Det kræver, at leverandøren ved, hvem testeren er, og hvem der skal kontaktes. Uden den viden kan et nedbrud trække ud, mens leverandøren leder efter en årsag, som virksomheden kender. → Hvis noget går ned under testen
Og efter testen kan leverandøren skulle rette en del af fundene. Det samarbejde bliver ikke lettere af, at leverandøren opdager, at den har været testet uden at vide det.
Hvis I vil teste, om leverandøren opdager noget
Spørgsmålet om opdagelse er legitimt. Det kan undersøges, men ikke ved at skjule testen for alle hos leverandøren.
Den kontrollerede vej er at aftale testen med leverandørens ledelse eller en udpeget kontaktperson, mens de medarbejdere, der overvåger, ikke får besked. Den lille kreds kan sikre tilladelsen, stoppe testen, hvis noget går galt, og skelne testen fra et rigtigt angreb. Resultatet kan så vise, om overvågningen reagerede, uden at virksomheden har sat driften eller samarbejdet over styr. → Skal overvågningen eller SOC’en have besked?
En opgave, der først og fremmest skal undersøge evnen til at opdage og reagere, er tættere på red teaming end på en almindelig penetrationstest. Den kræver andre rammer og et klart scenarie. Den bør også have en plan for, hvordan resultatet bliver fortalt til leverandørens medarbejdere bagefter, så det bliver brugt til læring og ikke opleves som en fælde. Et godt forløb slutter med en fælles gennemgang af, hvad der blev set, og hvad der ikke blev. → Red teaming eller penetrationstest
Hvem skal vide hvad
Det er ikke et valg mellem at fortælle alt til alle og at fortælle intet til nogen. Aftal i stedet en kreds.
- Leverandørens ansvarlige · skal kende testen, godkende den og kunne træffes undervejs.
- Teknisk kontakt · en person, der kan stoppe testen og hjælpe ved nedbrud.
- Overvågningen · får besked, medmindre opdagelse er en aftalt del af opgaven.
- Virksomhedens egne kontakter · den, der har bestilt testen, og den, der kan træffe beslutninger.
Samarbejdet med leverandøren før, under og efter testen er beskrevet i → Driftsleverandøren og testen.
Det skal I lade være med
- At teste systemer, leverandøren råder over, uden dens viden · tilladelsen kan mangle.
- At blande to spørgsmål sammen · svagheder og opdagelse kræver hver sin opgave.
- At lade ingen hos leverandøren kunne stoppe testen · et nedbrud kan trække ud.
- At bruge testen til at fange leverandøren · formålet er bedre sikkerhed, ikke en sag.
- At lade overvågningen være uvidende uden en aftale · det skal være en bevidst del af opgaven.
- At glemme, at leverandøren skal rette bagefter · samarbejdet har brug for tillid.
Hvad kan og ikke kan konkluderes
En test, der er aftalt med leverandøren, kan dokumentere systemernes svagheder under de beskrevne forhold. En kontrolleret test med en lille kreds kan desuden sige noget om, hvorvidt overvågningen reagerede på den aktivitet, der indgik.
Ingen af dem kan sige, hvordan leverandøren vil reagere på et rigtigt angreb i alle situationer. Og en skjult test uden aftale kan ikke bruges til at konkludere noget sikkert, fordi det er uklart, om reaktionen skyldtes testen, tilfældigheder eller noget helt tredje.
Tjekliste før testen
- ☐ Er det klart, hvilke systemer leverandøren råder over?
- ☐ Har leverandøren godkendt testen af de dele, den driver?
- ☐ Er der en teknisk kontakt, der kan stoppe testen?
- ☐ Er det besluttet, om overvågningen får besked?
- ☐ Hvis opdagelse skal testes, er det aftalt med leverandørens ledelse?
- ☐ Er kredsen, der kender til testen, skrevet ned?
- ☐ Er det aftalt, hvordan fund skal rettes bagefter?
Kilder
- Straffeloven, § 263, stk. 1: bestemmelsen om uberettiget adgang, som gør tilladelsen fra den, der råder over systemet, central.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Skal medarbejderne vide, at der testes? · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
